Wazuh 4.10 安装与排障全记录CSDN 合规版记录部署 Wazuh开源 SIEM/XDR 安全检测平台时遇到的问题、根因与解决思路供后续参考。一、为什么写这篇网上 Wazuh 装教程多但大多是照官方文档复制默认环境干净。实际部署总会遇到各种真实问题下载组件网络不通、证书配置、磁盘不足、官方脚本 Bug……本文记录这些坑帮后来人少走弯路。二、选型官方脚本 vs Docker方式说明官方一键脚本wazuh-install.sh -a自动处理证书/密码一条命令推荐Docker Compose容器化但需手动配镜像源/证书坑多结论直接官方一键脚本别在 Docker 上折腾。三、环境准备虚拟机VMware Ubuntu 24.04 Server内存 8GB磁盘 40GB注意扩容见坑 5务必勾选 Install OpenSSH server方便后续 SSH 管理避免 VMware 窗口粘贴问题装完用ssh连入之后所有操作用 SSH 执行能粘贴命令减少出错四、安装步骤# 1. 扩容磁盘Ubuntu LVM 默认只分 19G先扩到 38G sudo apt clean sudo lvextend -l 100%FREE /dev/ubuntu-vg/ubuntu-lv sudo resize2fs /dev/ubuntu-vg/ubuntu-lv # 2. 下载并安装 curl -sO https://packages.wazuh.com/4.10/wazuh-install.sh sudo -E bash wazuh-install.sh -a装完末尾会打印 web 地址和 admin 密码务必保存。五、踩坑全记录坑 1避免 Docker 部署克隆失败、main 分支镜像不存在、证书手动配……坑太多直接官方脚本。教训国内部署选官方脚本一步到位。坑 2apt 更新报 502现象apt update报502 Bad Gateway。根因apt 访问镜像源时走了错误的网络路径。解决配置 apt 时对国内镜像源使用直连境外组件源走代理区分开。坑 3GPG key 导入失败现象gpg: no valid OpenPGP data found。根因安装脚本内部 curl 下载 key 时网络未正确配置拿到无效内容。定位手动curl下载 key gpg --import能成功 → 确认为脚本下载环节问题。解决给 curl 配置全局代理即可。坑 4indexer 初始化失败最曲折现象ERROR: Cannot initialize Wazuh indexer cluster秒级回滚。排查journalctl -u wazuh-indexer显示服务其实 Started无错误是初始化脚本连不上 9200。根因① curl 连本地127.0.0.1:9200检查时也走代理 → 连不上② 加--retry会和--output /dev/null冲突报Failed to truncate file。解决① 配置 curl 对本地地址直连no_proxy② 去掉--retry。关键认知curl 连本地 9200 收到 HTTP 401 是正常admin 密码还没设不是失败继续走。坑 5磁盘空间不足现象装 dashboard 报No space left on device。根因Ubuntu LVM 默认根分区只 19G物理盘 40GWazuh 全套 缓存超过。解决装之前先扩容lvextend resize2fs把 19G 扩到 38G。坑 6重跑报 already installed / 端口占用现象Wazuh manager already installed/Port 1515/55000 is being used。根因回滚不彻底/var/ossec残留、进程占端口。解决sudo pkill -9 -f wazuh sudo rm -rf /var/ossec。dpkg 卸载脚本报错则挪走 .prerm/.postrm 后再 purge。坑 7Wazuh API 用户不存在官方 Bug现象The Wazuh API user wazuh does not exist。根因官方 BugGitHub Issue #66。脚本只替换已存在用户密码不添加缺失用户而 4.10 默认 internal_users.yml 不含 wazuh 用户。解决改脚本在改密码前先检查用户是否存在、不存在就添加末尾附修复脚本。六、排障思路代理只给境外组件用国内镜像源直连——否则 apt 502curl 连本地127.0.0.1必须直连别让代理拦截本地检测磁盘先扩容再装否则装到 dashboard 才爆排查三板斧journalctl -u 服务、ps aux | grep apt、df -h——别蒙着改七、结语这套排障思路比装成功本身更有价值。遇到类似的代理/证书/磁盘/脚本 Bug都知道怎么定位了。 Wazuh-安装踩坑指南
Wazuh 4.10 安装与排障全记录CSDN 合规版记录部署 Wazuh开源 SIEM/XDR 安全检测平台时遇到的问题、根因与解决思路供后续参考。一、为什么写这篇网上 Wazuh 装教程多但大多是照官方文档复制默认环境干净。实际部署总会遇到各种真实问题下载组件网络不通、证书配置、磁盘不足、官方脚本 Bug……本文记录这些坑帮后来人少走弯路。二、选型官方脚本 vs Docker方式说明官方一键脚本wazuh-install.sh -a自动处理证书/密码一条命令推荐Docker Compose容器化但需手动配镜像源/证书坑多结论直接官方一键脚本别在 Docker 上折腾。三、环境准备虚拟机VMware Ubuntu 24.04 Server内存 8GB磁盘 40GB注意扩容见坑 5务必勾选 Install OpenSSH server方便后续 SSH 管理避免 VMware 窗口粘贴问题装完用ssh连入之后所有操作用 SSH 执行能粘贴命令减少出错四、安装步骤# 1. 扩容磁盘Ubuntu LVM 默认只分 19G先扩到 38G sudo apt clean sudo lvextend -l 100%FREE /dev/ubuntu-vg/ubuntu-lv sudo resize2fs /dev/ubuntu-vg/ubuntu-lv # 2. 下载并安装 curl -sO https://packages.wazuh.com/4.10/wazuh-install.sh sudo -E bash wazuh-install.sh -a装完末尾会打印 web 地址和 admin 密码务必保存。五、踩坑全记录坑 1避免 Docker 部署克隆失败、main 分支镜像不存在、证书手动配……坑太多直接官方脚本。教训国内部署选官方脚本一步到位。坑 2apt 更新报 502现象apt update报502 Bad Gateway。根因apt 访问镜像源时走了错误的网络路径。解决配置 apt 时对国内镜像源使用直连境外组件源走代理区分开。坑 3GPG key 导入失败现象gpg: no valid OpenPGP data found。根因安装脚本内部 curl 下载 key 时网络未正确配置拿到无效内容。定位手动curl下载 key gpg --import能成功 → 确认为脚本下载环节问题。解决给 curl 配置全局代理即可。坑 4indexer 初始化失败最曲折现象ERROR: Cannot initialize Wazuh indexer cluster秒级回滚。排查journalctl -u wazuh-indexer显示服务其实 Started无错误是初始化脚本连不上 9200。根因① curl 连本地127.0.0.1:9200检查时也走代理 → 连不上② 加--retry会和--output /dev/null冲突报Failed to truncate file。解决① 配置 curl 对本地地址直连no_proxy② 去掉--retry。关键认知curl 连本地 9200 收到 HTTP 401 是正常admin 密码还没设不是失败继续走。坑 5磁盘空间不足现象装 dashboard 报No space left on device。根因Ubuntu LVM 默认根分区只 19G物理盘 40GWazuh 全套 缓存超过。解决装之前先扩容lvextend resize2fs把 19G 扩到 38G。坑 6重跑报 already installed / 端口占用现象Wazuh manager already installed/Port 1515/55000 is being used。根因回滚不彻底/var/ossec残留、进程占端口。解决sudo pkill -9 -f wazuh sudo rm -rf /var/ossec。dpkg 卸载脚本报错则挪走 .prerm/.postrm 后再 purge。坑 7Wazuh API 用户不存在官方 Bug现象The Wazuh API user wazuh does not exist。根因官方 BugGitHub Issue #66。脚本只替换已存在用户密码不添加缺失用户而 4.10 默认 internal_users.yml 不含 wazuh 用户。解决改脚本在改密码前先检查用户是否存在、不存在就添加末尾附修复脚本。六、排障思路代理只给境外组件用国内镜像源直连——否则 apt 502curl 连本地127.0.0.1必须直连别让代理拦截本地检测磁盘先扩容再装否则装到 dashboard 才爆排查三板斧journalctl -u 服务、ps aux | grep apt、df -h——别蒙着改七、结语这套排障思路比装成功本身更有价值。遇到类似的代理/证书/磁盘/脚本 Bug都知道怎么定位了。